13518219792
1、主要的sql注入来源于数据请求。比如表单的提交。攻击者会在请求中带上一些可执行的sql语句。达到注入的目的。Thinkphp内置了数据过滤机制。可以有效的将一些存在风险的符号过滤处理。
站在用户的角度思考问题，与客户深入沟通，找到江阴网站设计与江阴网站推广的解决方案，凭借多年的经验，让设计与互联网技术结合，创造个性化、用户体验好的作品，建站类型包括：成都网站设计、网站建设、外贸网站建设、企业官网、英文网站、手机端网站、网站推广、域名注册、网页空间、企业邮箱。业务覆盖江阴地区。
2、采用escape函数过滤非法字符。escape可以将非法字符比如 斜杠等非法字符转义，防止sql注入，这种方式简单粗暴，但是不太建议这么用。
3、使用tp自带的方法添加，应该可以过滤大部分的sql注入。只要不直接拼接sql执行。 一般是不需要你考虑这个问题的。对不对我不知道，因为我不用tp框架。 但是其他框架都是可以自己过滤的。 不需要你去处理什么。
4、而且，对于字符串类型的数据，ThinkPHP都会进行escape_string处理(real_escape_string，mysql_escape_string)。
这个是不会的，只要其它人没有权限访问你的文件就可以，例如从服务器，FTP，网站后台文件浏览之类的，只从前台界面是拿不到php里面的变量（不包括网站漏洞）。
使用zend guard对php源文件进行加密，加密之后的php源文件就变成了乱码，当然计算机是认识这些乱码的哈。
其实的问题题目是正确的，只是这个问题内容有点让我不理解。数据库链接SQL安全在于如何防止注入和别的溢出什么，这些都是一个良好的编码习惯，懂得过滤和相关的代码规范 至于你说的mysql 明文username password。是这样的。
数据库和php程序在不同的服务器，就是说你在操作数据库的时候需要远程操作，这样的话需要传输数据库账号密码，可以在本地加密后传输，然后在数据库服务器进行解密后，用原始的账号密码去操作数据库。
永远不要信任用户的输入。对用户的输入进行校验，可以通过正则表达式，或限制长度；对单引号和 双-进行转换等。永远不要使用动态拼装sql，可以使用参数化的sql或者直接使用存储过程进行数据查询存取。
使用PDO防注入。这是最简单直接的一种方式，当然低版本的PHP一般不支持PDO方式去操作，那么就只能采用其它方式。采用escape函数过滤非法字符。
过滤掉一些常见的数据库操作关键字：select，insert，update，delete，and，*等 或者通过系统函数：addslashes(需要被过滤的内容)来进行过滤。
